信息來(lái)源：4hou

Check Point研究人員分析發(fā)現(xiàn)一種攻擊漏洞形式，命名為Faxploit。利用該漏洞只需要知道攻擊目標(biāo)的傳真號(hào)，發(fā)送一個(gè)惡意傳真就可以完全控制傳真機(jī)和傳真機(jī)連接的企業(yè)網(wǎng)絡(luò)。一個(gè)傳真看似無(wú)害，但可能整個(gè)企業(yè)網(wǎng)絡(luò)都可能會(huì)被入侵。

研究人員在HP多功能打印機(jī)上進(jìn)行了驗(yàn)證測(cè)試，并稱該漏洞同樣應(yīng)用于其他廠商的傳真機(jī)。HP已經(jīng)發(fā)布了補(bǔ)丁，并通過(guò)自動(dòng)更新的方式下發(fā)給大多數(shù)的用戶。其他品牌的多共那個(gè)打印機(jī)漏洞還沒(méi)有修復(fù)。 

傳真誰(shuí)還用？

傳真是一項(xiàng)有百年歷史的技術(shù)，隨著電信技術(shù)和互聯(lián)網(wǎng)技術(shù)的發(fā)展，傳真逐漸淡出我們的視野。傳真真的就不用了嗎？事實(shí)上，目前仍有4630萬(wàn)傳真機(jī)在使用中，美國(guó)就有1700萬(wàn)臺(tái)。奇怪的是傳真機(jī)這種技術(shù)在前沿技術(shù)發(fā)展的國(guó)家占有率居然更高，在日本100%的企業(yè)和45%的私人家庭擁有傳真機(jī)。

隨著傳真機(jī)的發(fā)展，傳真機(jī)就是傳真機(jī)嗎？NO。隨著科技的發(fā)展，現(xiàn)在的傳真機(jī)主要是以多功能打印機(jī)的形式出現(xiàn)的，集打印、傳真、掃描等功能于一身，而且有的傳真機(jī)還是聯(lián)網(wǎng)的。

那現(xiàn)代的傳真機(jī)會(huì)帶來(lái)安全威脅嗎？在AI、IoT時(shí)代，或許沒(méi)有什么是安全的。因此研究人員深入分析了這項(xiàng)看似過(guò)時(shí)的技術(shù)在現(xiàn)今IT環(huán)境中的應(yīng)用，并分析了其可能存在的安全風(fēng)險(xiǎn)。

傳真打印機(jī)如何暴露所在網(wǎng)絡(luò)？ 

下圖是一個(gè)公司的基本網(wǎng)絡(luò)架構(gòu)圖，從中可以看出傳真打印機(jī)的漏洞利用會(huì)導(dǎo)致整個(gè)IT網(wǎng)絡(luò)的淪陷。研究人員還證明了即使是與Internet隔離，也可以通過(guò)電話線來(lái)發(fā)起攻擊。

標(biāo)準(zhǔn)企業(yè)IT網(wǎng)絡(luò)架構(gòu)圖

如果所有的傳真打印機(jī)都聯(lián)網(wǎng)或與網(wǎng)絡(luò)中的PC相連，攻擊者只需要入侵其中一個(gè)訪問(wèn)點(diǎn)（傳真機(jī)）就可以進(jìn)入企業(yè)網(wǎng)絡(luò)中。從這個(gè)角度講，攻擊者可以從網(wǎng)絡(luò)的一部分跳轉(zhuǎn)到網(wǎng)絡(luò)的其他部分來(lái)進(jìn)行感染活動(dòng)。這樣的攻擊和感染活動(dòng)是需要時(shí)間的，所以企業(yè)也有時(shí)間去做出應(yīng)對(duì)。

下圖是Faxploit攻擊流，從圖中可以看出攻擊者可以通過(guò)傳真打印機(jī)進(jìn)入網(wǎng)絡(luò)，接下來(lái)就可以訪問(wèn)企業(yè)的機(jī)密信息。因?yàn)槭褂玫膫髡鎱f(xié)議而不是網(wǎng)絡(luò)協(xié)議，所以企業(yè)和用戶并沒(méi)有意識(shí)到這一重要性。往往都覺(jué)得這一信道是安全的（就像我們一直說(shuō)互聯(lián)網(wǎng)不安全、WiFi不安全，我們覺(jué)得運(yùn)營(yíng)商的網(wǎng)絡(luò)是安全的，但4G也可以被劫持……）。

Flaxploit攻擊流

Faxploit攻擊視頻說(shuō)明：

https://www.youtube.com/embed/1VDZTjngNqs

攻擊視頻中描述了如何去實(shí)施攻擊，并使用傳真去入侵計(jì)算機(jī)設(shè)備，竊取私有信息。

竊取計(jì)算機(jī)中的文檔只是攻擊的一部分，肯定還有其他形式的攻擊方式。而且竊取的文檔還可以傳真將回傳給攻擊者。另一種可能性是攻擊者修改傳真的內(nèi)容，比如用修改過(guò)的版本來(lái)替換原文檔。

安全風(fēng)險(xiǎn)

雖然許多企業(yè)都在使用傳真設(shè)備，但目前還沒(méi)有成規(guī)模的攻擊。但確實(shí)給了攻擊者一種入侵企業(yè)網(wǎng)絡(luò)的新的攻擊方式，并提出企業(yè)IT安全新的威脅。更重要的是目前有上百萬(wàn)的企業(yè)和用戶使用傳真機(jī)，遍布世界各地。

安全建議

企業(yè)應(yīng)對(duì)此類攻擊的最好方法是網(wǎng)絡(luò)隔離。因?yàn)槠髽I(yè)的高業(yè)務(wù)需求，大多數(shù)企業(yè)會(huì)忽略許多的IT安全實(shí)踐，缺乏適當(dāng)定義的網(wǎng)絡(luò)分段隔離策略。也就是說(shuō)一旦威脅單元繞過(guò)了邊界防御，就可以在網(wǎng)絡(luò)中恣意妄為了。這可以為第二階段的攻擊提供偵查活動(dòng)，比如竊取公司敏感數(shù)據(jù)或用勒索軟件鎖定企業(yè)網(wǎng)絡(luò)。如果沒(méi)有足夠的安全控制的話，攻擊者就可以很容易的利用這些安全差距了。 

網(wǎng)絡(luò)隔離是縮小這些安全差距的關(guān)鍵安全策略。也應(yīng)該用來(lái)減小對(duì)應(yīng)用、服務(wù)器等敏感信息的訪問(wèn)等級(jí)。網(wǎng)絡(luò)隔離是一種緩解下一階段網(wǎng)絡(luò)入侵的有效緩解措施，還可以限制攻擊的傳播方式。

如果需要連接到傳真打印機(jī)，至少要確保設(shè)備處于隔離區(qū)域中。這樣的話，即使傳真打印機(jī)被黑，攻擊者也不能感染IT網(wǎng)絡(luò)的其他部分。保存關(guān)鍵數(shù)據(jù)的區(qū)域也應(yīng)該進(jìn)行分段，比如防火墻、配置VLAN等，仍需要規(guī)劃、應(yīng)用和持續(xù)改變。隨著網(wǎng)絡(luò)規(guī)模的擴(kuò)大，實(shí)現(xiàn)分段也是很有挑戰(zhàn)性的。

Faxploit漏洞說(shuō)明了組織和企業(yè)經(jīng)常更新補(bǔ)丁和升級(jí)的重要性。那么首先廠商要意識(shí)到產(chǎn)品中的安全漏洞。安裝終端保護(hù)措施，也可以使用戶設(shè)備處于一定的保護(hù)之下。 

結(jié)論

研究人員發(fā)現(xiàn)傳真機(jī)協(xié)議的Faxploit漏洞，該漏洞源于一種被誤認(rèn)為是沒(méi)有風(fēng)險(xiǎn)的技術(shù)，其實(shí)很多人誤認(rèn)為傳真的使用率很低。隨著AI+IoT時(shí)代的到來(lái)，云端和移動(dòng)端平臺(tái)仍然是攻擊者入侵企業(yè)IT網(wǎng)絡(luò)和對(duì)敏感信息非授權(quán)訪問(wèn)的主要手段。Faxploit漏洞也給了打印機(jī)廠商和攻擊者以啟示，比如改變現(xiàn)代網(wǎng)絡(luò)架構(gòu)處理網(wǎng)絡(luò)打印機(jī)和傳真機(jī)的方式，傳真機(jī)（打印機(jī)）也會(huì)成為入侵企業(yè)網(wǎng)絡(luò)的攻擊向量之一。

經(jīng)常的補(bǔ)丁更新計(jì)劃和網(wǎng)絡(luò)封端是保護(hù)數(shù)據(jù)免受潛在攻擊的一種方式。遵循這樣的最佳安全實(shí)踐，企業(yè)無(wú)論選擇什么技術(shù)都可以確保技術(shù)應(yīng)用的安全性。

Q&A：

Q: 研究的內(nèi)容是什么？
A: Check Point研究人員發(fā)現(xiàn)了傳真協(xié)議的關(guān)鍵漏洞，攻擊者利用該漏洞通過(guò)一根電話線和傳真號(hào)就可以攻擊者受害者的多功能打印機(jī)，獲取打印機(jī)的完全控制權(quán)，然后入侵打印機(jī)連接的企業(yè)網(wǎng)絡(luò)。

Q: 漏洞只適用于多功能打印機(jī)嗎？

A: 漏洞不僅適用于多功能的傳真打印機(jī)，還適用于其他傳真機(jī)，比如傳真轉(zhuǎn)郵件服務(wù)、單獨(dú)的傳真機(jī)等。

Q: 漏洞的安全評(píng)級(jí)是什么？

A: HP將該漏洞分級(jí)為Critical，漏洞詳情見(jiàn)https://support.hp.com/us-en/document/c06097712。

Q: 漏洞和攻擊造成的影響？

A: 一旦多功能打印機(jī)被黑，所有之后的攻擊都有可能發(fā)生?？梢杂糜谌肭制髽I(yè)和用戶的內(nèi)部網(wǎng)絡(luò)、竊取打印的文檔、進(jìn)行比特幣挖礦等。

Q: 攻擊適用于所有打印機(jī)嗎？

A: 研究人員只對(duì)HP Officejet多功能打印機(jī)進(jìn)行了測(cè)試，但研究人員認(rèn)為漏洞適用于其他應(yīng)用該傳真通信協(xié)議的傳真機(jī)和傳真打印機(jī)。

Q: 應(yīng)用范圍是什么？

A: 研究人員估計(jì)，目前有上億傳真設(shè)備在使用中。華爾街?jǐn)?shù)據(jù)顯示，每年有幾千萬(wàn)傳真打印機(jī)出售。

Q: 漏洞修復(fù)了嗎？

A: 研究人員與HP合作已經(jīng)修復(fù)了漏洞，補(bǔ)丁情況https://support.hp.com/us-en/document/c06097712。如果打印機(jī)配置了自動(dòng)更新，那么補(bǔ)丁應(yīng)該已經(jīng)應(yīng)用了。但補(bǔ)丁只適用于HP打印機(jī)，但漏洞應(yīng)也適用于其他廠商的設(shè)備。

Q: 如何保護(hù)？

A: 按照HP官方發(fā)布的指南https://support.hp.com/us-en/document/c06097712進(jìn)行操作。另外，該應(yīng)應(yīng)用分段策略、軟件補(bǔ)丁升級(jí)和適當(dāng)?shù)腎T防護(hù)。如果不使用傳真打印機(jī)的傳真功能，研究人員建議不要連接電話線。

Q: 在野攻擊？

A: 目前還沒(méi)有在野攻擊出現(xiàn)。

Q: 技術(shù)細(xì)節(jié)？

A: 漏洞技術(shù)細(xì)節(jié)見(jiàn)http://research.checkpoint.com/sending-fax-back-to-the-dark-ages。